国华人寿某处设计不当可查询任意用户信息(附脚本)

漏洞概要

缺陷编号:WooYun-2015-0126008

漏洞标题:国华人寿某处设计不当可查询任意用户信息(附脚本)

相关厂商:95549.cn

漏洞作者:wps2015

提交时间:2015-07-11 08:55

公开时间:2015-07-16 08:56

漏洞类型:设计缺陷/逻辑错误

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2015-07-11: 细节已通知厂商并且等待厂商处理中
2015-07-11: 厂商已查看当前漏洞内容,细节仅向厂商公开
2015-07-16: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

设计不当,可查询任意用户信息

详细说明:

问题出在国华人寿找回密码处:http://eservice.95549.cn/eservice/login.action?action=initGetPwd这里以用户名admin为例

点击下一步,进入邮件或者手机找回,但是通过查看源代码发现,用户的用户名,邮箱,id,电话信息出现在隐藏表单里面

为了证明漏洞危害性,我写了个程序跑了个用户名字典,并抓取源代码里返回的信息

泄露用户信息,易导致钓鱼诈骗等风险

漏洞证明:

附python脚本

修复方案:

怎么能返回信息呢?

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-07-1608:56

厂商回复:

漏洞Rank:8 (WooYun评价)

最新状态:

暂无

评价

  1. 2010-01-01 00:00 BMa 白帽子 | Rank:1666 漏洞数:121)

    应该不止这么玩吧

  2. 2010-01-01 00:00 _Thorns 白帽子 | Rank:796 漏洞数:60)

    怎么会忽略了

  3. 2010-01-01 00:00 wps2015 白帽子 | Rank:274 漏洞数:21)

    这个厂商的全忽略了。。。